Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

In che modo AWS Network Security Manager funziona

Utilizza il modello di risorse di AWS Network Security Manager per progettare e gestire le protezioni di sicurezza di rete per le risorse di un singolo account o tra più account della tua organizzazione. Questo capitolo spiega i cinque tipi di risorse, come formano una gerarchia e i concetti chiave che ne regolano il comportamento.

AWS Modello di risorse di Network Security Manager

AWS Network Security Manager utilizza cinque tipi di risorse disposti in una gerarchia di composizione:

Le risorse fanno riferimento l'una all'altra verso l'alto nella gerarchia. Le regole vengono utilizzate all'interno di modelli e policy. I modelli, le regole o entrambi vengono utilizzati all'interno delle politiche. Un ambito fa riferimento alle risorse che le policy proteggono all'interno di una distribuzione.

Le sezioni seguenti descrivono ogni tipo di risorsa nella gerarchia.

Regola: l'unità atomica della configurazione della sicurezza di rete. Esistono due tipi di regole: le regole di ispezione del traffico e le regole di configurazione del firewall. L'ispezione del traffico si concentra sul modo in cui il servizio di sicurezza affronta il traffico. Una regola di configurazione specifica le operazioni del sistema al di fuori dell'ispezione del traffico. La struttura di una regola varia in base al tipo di firewall.

Modello: un gruppo di regole ordinato e riutilizzabile per un singolo tipo di firewall. Utilizza i modelli per raggruppare le regole correlate e condividerle tra più policy. I modelli sono opzionali.

Policy: combina un insieme ordinato di modelli e regole con impostazioni di applicazione per un tipo di firewall. Ogni policy ha una priorità (un numero più basso indica una priorità più alta). Quando più politiche proteggono la stessa risorsa, la priorità determina la modalità di risoluzione dei conflitti. Per le regole di ispezione del traffico, la priorità determina l'ordine in cui le regole vengono aggregate. Per quanto riguarda le regole di configurazione del firewall, la priorità determina quale configurazione si applica a ciascuna risorsa e alle relative politiche.

Ambito: una selezione dichiarativa dei settori in cui applicare le protezioni. Un ambito specifica i tipi di risorse da proteggere ed è possibile facoltativamente filtrare le risorse per tag o attributo di configurazione. In modalità multi-account, un ambito specifica anche quali account o unità organizzative includere o escludere. In modalità account singolo, l'ambito si applica all'account stesso. La modalità di un ambito viene fissata al momento della creazione. Non è possibile cambiare un ambito tra la modalità multi-account e quella con account singolo in nessuna delle due direzioni, quindi un ambito con più account non può mai diventare un ambito a account singolo o viceversa.

Distribuzione : associa una o più politiche a un ambito. La pubblicazione di una distribuzione attiva l'applicazione. AWS Network Security Manager rileva le risorse incluse nell'ambito, calcola la configurazione prevista e, facoltativamente, corregge le risorse non sincronizzate.

Per i limiti di composizione delle risorse, vedere. AWS Quote di Network Security Manager

AWS Ciclo di vita delle risorse, unione e sincronizzazione di Network Security Manager

Nelle sezioni seguenti vengono illustrati i comportamenti e i meccanismi che regolano il funzionamento delle risorse di AWS Network Security Manager dopo la loro creazione.

Bozza e ciclo di vita attivo

Ogni risorsa di AWS Network Security Manager, incluse regole, modelli, policy, ambiti e distribuzioni, ha lo stato Bozza o Attiva:

Per impostazione predefinita, AWS Network Security Manager crea le risorse come Attive. Per creare una risorsa come bozza utilizzando l'API, imposta il isPublished parametro su false nell'operazione di creazione o aggiornamento.

Quando aggiorni una risorsa, si applicano i seguenti scenari:

Il hasPublishedVersion campo appare nell'elenco e ottieni risposte. Questo campo indica se esiste una risorsa attiva pubblicata sotto una bozza. Quando una risorsa ha lo stato Bozza e hasPublishedVersion: true una bozza in sospeso si trova sopra una risorsa attiva e pubblicata.

Non è possibile eliminare una risorsa attiva a cui fa riferimento un'altra risorsa attiva.

Controllo delle versioni

Ogni risorsa di AWS Network Security Manager, incluse regole, modelli, politiche, ambiti e distribuzioni, può essere versionata. Per creare una versione di una risorsa attiva, seleziona la risorsa, scegli Azione, quindi scegli Crea istantanea con versione. Le versioni non vengono create automaticamente a ogni aggiornamento.

Proprietà chiave della versione:

Usa le versioni per conservare le varianti di configurazione desiderate. Per ripristinare una risorsa, leggi una versione, quindi aggiorna la risorsa attiva con la configurazione desiderata della versione.

Priority-based fusione delle politiche

Quando più policy proteggono la stessa risorsa, AWS Network Security Manager unisce le relative configurazioni in un unico risultato. Un numero di priorità più basso indica una priorità più alta (la priorità 1 ha la precedenza sulla priorità 2). Quando AWS Network Security Manager unisce le policy che contengono regole di ispezione del traffico, la priorità determina l'ordine in cui le regole vengono aggregate. Per le regole di configurazione del firewall, la politica di priorità più elevata determina la configurazione da applicare.

AWS Network Security Manager valuta la priorità a due livelli, in questo ordine:

La priorità dell'amministratore viene impostata con il priority campo richiesto dell'PutAdminAccountoperazione, un numero intero compreso tra 1 e 10. I valori di priorità sono univoci, quindi due amministratori non condividono mai una priorità e non è richiesta alcuna interruzione dei pareggi. Per ulteriori informazioni, consulta il riferimento alle API AWS di Network Security Manager.

Il risultato combinato di tutte le politiche applicabili a una risorsa è la configurazione effettiva del firewall. AWS Network Security Manager calcola questa configurazione, la confronta con la configurazione effettiva della risorsa e riporta eventuali differenze come stato di sincronizzazione.

Quando le politiche sono in conflitto, AWS Network Security Manager confronta ogni attributo e applica il valore della politica con priorità più alta. Se la politica con priorità più alta non definisce un attributo, si applica il valore della politica con priorità più bassa. Una risorsa che corrisponde alla configurazione effettiva è IN_SYNC. Una risorsa protetta da una politica a priorità inferiore le cui impostazioni sono state sostituite da una politica a priorità più alta riporta come OUT_OF_SYNC per la distribuzione con priorità inferiore. Si tratta di un comportamento previsto, non di un errore.

Scoperta delle risorse con AWS Config

AWS Network Security Manager rileva le risorse protette negli account utilizzando un registratore di AWS configurazione Config collegato al servizio. Questo registratore viene creato automaticamente in ogni account quando quell'account entra nell'ambito di una distribuzione. A differenza di AWS Firewall Manager, non è necessario eseguire alcuna configurazione aggiuntiva. AWS L'utilizzo della configurazione da parte di AWS Network Security Manager non viene addebitato al cliente di AWS Network Security Manager.

Caratteristiche principali del registratore collegato al servizio:

Non è necessario abilitare o configurare AWS Config manualmente per il funzionamento di AWS Network Security Manager. Il servizio gestisce automaticamente l'individuazione delle risorse dopo la pubblicazione di una distribuzione.

Sincronizzazione e correzione

L'applicazione in AWS Network Security Manager è asincrona e alla fine coerente. Dopo la pubblicazione di una distribuzione o quando una risorsa cambia, si verificano le seguenti fasi:

Ogni fase è asincrona. Conseguenze per il flusso di lavoro:

La riparazione e la pulizia delle risorse sono impostazioni a livello di policy. Ciascuna di esse viene configurata in base alla politica dell'oggetto. policyConfiguration

Le resourcesCleanUp impostazioni remediationEnabled e sono entrambe predefinite su. false AWS Network Security Manager non ripristina né ripulisce le risorse finché non si abilitano queste impostazioni. L'policyConfigurationoggetto è inoltre validowafConfig, il che si applica alle politiche AWS WAF. Per ulteriori informazioni, vedere il riferimento alle API di AWS Network Security Manager.

Quando una risorsa non è sincronizzata, lo stato di sincronizzazione include motivi di non sincronizzazione con dettagli per impostazione che mostrano i valori previsti rispetto ai valori effettivi. I motivi sono organizzati nelle seguenti categorie:

Se la correzione è abilitata ma AWS Network Security Manager non è in grado di correggere una risorsaissueType, il remediationIssues campo fornisce una message descrizione del problema e un correctiveAction suggerimento su come risolverlo.

AWS Network Security Manager non valuta le impostazioni che non gestisce. Se un campo non compare in nessuna regola di contribuzione, AWS Network Security Manager lo ignora durante la valutazione della sincronizzazione.

Account per amministratori e membri

AWS Network Security Manager utilizza un modello di gestione tra account basato su AWS Organizations:

Facoltativamente, è possibile assegnare a ciascun amministratore un sottoinsieme di account, unità organizzative e tipi di firewall. Utilizza questa funzionalità per delegare la gestione di aree specifiche a team diversi.

AWS Network Security Manager è un servizio regionale. Crei risorse e distribuzioni per regione senza dipendenze tra regioni.

Service-linked ruolo

AWS Network Security Manager utilizza un ruolo collegato ai servizi IAM denominato AWSServiceRoleForNetworkSecurityManager per agire per conto dell'utente negli account dei membri dell'organizzazione. Questo ruolo si affida al responsabile del network-security-manager.amazonaws.com servizio. Utilizza la politica NetworkSecurityManagerServiceRolePolicy AWS gestita.

AWS Network Security Manager crea questo ruolo automaticamente quando si attiva il servizio, quindi non è necessaria alcuna configurazione manuale. Il ruolo consente a AWS Network Security Manager di gestire le protezioni AWS WAF e AWS Shield Advanced, scoprire risorse protette tramite AWS Config ed eseguire operazioni su più account. Per ulteriori informazioni, consulta Utilizzo di ruoli collegati ai servizi per AWS Responsabile della sicurezza di rete.